Katalog podatności CVE

W jądrze Linux wykryto podatność w module IB/isert (iSER), która pozwala niezalogowanemu inicjatorowi na zadeklarowanie w pakiecie login PDU większej ilości danych, niż faktycznie wysłano. Prowadzi to do odczytu poza przydzielonym buforem (slab-out-of-bounds) przed procesem uwierzytelnienia, co może skutkować wyciekiem informacji lub awarią systemu.

W jądrze Linux w podsystemie sunrpc, funkcje xprtsock używają zwykłych operacji zapisu i odczytu dla współdzielonych wskaźników callbacków sk_data_ready i sk_write_space. Może to prowadzić do sytuacji, w której inny procesor używa nieaktualnego wskaźnika po przywróceniu oryginalnych callbacków. Poprawka dodaje READ_ONCE/WRITE_ONCE dla tych operacji.

W podsystemie nvmet jądra Linux funkcja nvmet_auth_negotiate() odczytuje dane poza zaalokowanym buforem (heap out-of-bounds read), ponieważ nie waliduje długości transferu (tl) ani wartości halen/dhlen przekazanych przez hosta. Złośliwy lub niezgodny host może podać zbyt małe tl lub zbyt duże halen/dhlen (do 255), powodując odczyt poza buforem. Poprawka przekazuje tl do funkcji i odrzuca nieprawidłowe wartości.

W jądrze Linux w module smb (smbdirect) kolejki ukończeń (completion queues) tworzone przez ib_alloc_cq_any() były zwalniane za pomocą ib_destroy_cq(), co nie anulowało wcześniej zakolejkowanej pracy ib_cq_poll_work(). Późno zgłoszone ukończenie (np. błąd RNR z Soft-RoCE/rxe) powodowało ponowne zakolejkowanie pracy na już zwolnionej kolejce i użycie zwolnionej pamięci (use-after-free).

W kliencie NFSv4 jądra Linux funkcja nfs4_alloc_client() przydziela identyfikator callback NFSv4.0 przed zakończeniem inicjalizacji klienta. Jeśli późniejszy krok zawiedzie, ścieżka błędu zwalnia nfs_client bezpośrednio przez nfs_free_client(), pomijając usunięcie wpisu z cb_ident_idr, co pozostawia wiszący wskaźnik do zwolnionego obiektu.

W jądrze Linux występuje podatność w systemie ograniczania szybkości inetpeer, który przechowuje wpisy w drzewie czerwono-czarnym kluczowanym deterministycznie na podstawie adresu IP. Atakujący z zewnątrz może przewidzieć strukturę drzewa i wymuszać usuwanie wybranych węzłów, co resetuje ich licznik ograniczania szybkości i pozwala obejść limity ICMP oraz wnioskować o otwartych portach UDP. Podatność naprawiono poprzez randomizację porównywania węzłów drzewa przy użyciu SipHash z tajnym kluczem.

W jądrze Linux w implementacji NFSv4.1 występuje błąd polegający na niezerowaniu list referring call przed dekodowaniem. Funkcja decode_cb_sequence_args() alokuje csa_rclists przez kmalloc_objs(), pozostawiając każdą referring_call_list niezainicjalizowaną, a decode_rc_list() przypisuje rcl_refcalls tylko gdy rcl_nrefcalls jest niezerowe. Prawidłowa lista z zerem referring calls pozostawia wskaźnik niezainicjalizowany, a nfs4_callback_sequence() przekazuje później nieaktualną zawartość slab do kfree().

Podatność w ash_authentication dotyczy strategii dynamic_oidc, która nie zapewnia prawidłowej separacji przestrzeni tożsamości między połączeniami. Atakujący kontrolujący jedno połączenie może zostać zalogowany jako lokalny użytkownik utworzony przez inne połączenie, ponieważ identyfikatory użytkowników nie są odpowiednio rozdzielane.

W pgAdmin 4 źródło uwierzytelniania 'webserver' miało podatność polegającą na tym, że funkcja WebserverAuthentication.get_user() w przypadku braku wartości w środowisku WSGI/CGI odczytywała nazwę użytkownika bezpośrednio z nagłówków HTTP przesyłanych przez klienta. W efekcie każdy klient mogący połączyć się z pgAdmin mógł podać własny nagłówek i zalogować się jako dowolny użytkownik, w tym istniejący Administrator, bez hasła. Problem dotyczy wersji od 6.2 do 9.18 i występuje tylko gdy w AUTHENTICATION_SOURCES włączone jest 'webserver'.

W ash_authentication występuje błędne uwierzytelnianie, które umożliwia atakującemu zalogowanie się jako inny użytkownik poprzez powiązanie swojej tożsamości OAuth2 z cudzym kontem. Atakujący może przypisać zweryfikowany e-mail do konta wybranego na podstawie innych atrybutów, co prowadzi do przejęcia sesji.

W CakePHP metody FunctionsBuilder (cast, extract, datePart, dateAdd) umożliwiają wstrzyknięcie SQL przez nieprawidłowe przetwarzanie danych wejściowych kontrolowanych przez użytkownika. Niezaufane dane trafiają do składni SQL bez odpowiedniego zabezpieczenia, co może pozwolić atakującemu na wykonanie własnych zapytań.

W Vendure funkcja createCustomerAndUser w zewnętrznym uwierzytelnianiu pobiera istniejące konto po adresie e-mail i łączy z nim nową metodę uwierzytelniania bez weryfikacji właściciela e-maila. Atakujący może użyć niezweryfikowanego e-maila, aby przejąć konto ofiary.

W vm2 przed wersją 3.11.6 konfiguracja builtin: ['*'] nie ogranicza dostępu do modułów os i dns, co pozwala kodowi w piaskownicy na odczytanie informacji o procesie hosta i topologii sieci. Atakujący mogą użyć funkcji dns.setServers(), aby przejąć globalny resolver DNS procesu hosta.

Biblioteka vm2 w wersjach do 3.11.6 nieprawidłowo normalizuje specyfikatory modułów wbudowanych z prefiksem 'node:' przy dopasowywaniu negatywnych (blokujących) wpisów w polityce require NodeVM. W efekcie polityka taka jak ['*', '-node:child_process'] nie blokuje modułu child_process, ponieważ dopasowanie odbywa się przez dokładne porównanie ciągów z kanonicznymi nazwami. Kod w sandboxie może więc uzyskać dostęp do API uruchamiania procesów (execSync, spawn), co odpowiada możliwości wykonania poleceń na hoście.

W wersjach vm2 od 3.10.1 do 3.11.6 istnieje możliwość ucieczki z piaskownicy za pomocą WebAssembly.compileStreaming i instantiateStreaming. Atakujący może uzyskać dostęp do obiektu process w środowisku Node.js 26, co daje pełną kontrolę nad procesem hosta.

W wersjach vm2 przed 3.11.8 występuje luka umożliwiająca ucieczkę z piaskownicy przez obiekty console._stdout i console._stderr. Atakujący może nadpisać metodę emit w EventEmitter.prototype i wykonać kod w procesie hosta, omijając ograniczenia generowania kodu.

W wersjach vm2 od 3.11.0 do 3.11.8 nie są odpowiednio chronione prototypy TypedArray i ArrayBuffer przed modyfikacją przez kod w piaskownicy. Atakujący może zmienić prototypy, co wpływa na tablice hosta i może prowadzić do nieautoryzowanych działań.

vm2 w wersjach przed 3.11.7 zawiera błąd nieprawidłowej autoryzacji w mechanizmie sprawdzania listy dozwolonych pakietów zewnętrznych, który używa niedokładnego dopasowania podciągu zamiast pełnej walidacji granic nazwy pakietu. Atakujący mogą obejść listę dozwolonych, żądając pakietu o kolidującej nazwie zawierającej podciąg dozwolonego pakietu, co powoduje załadowanie i wykonanie nieautoryzowanych pakietów hosta w kontekście hosta.

vm2 w wersjach od 3.9.6 do 3.11.6 jest podatny na obejście listy dozwolonych wbudowanych modułów NodeVM, co umożliwia ucieczkę z sandboxa w Node.js 24 i nowszych, gdy osadzający jawnie zezwoli na wbudowany moduł node:test. W Node.js 24+ module.builtinModules ujawnia klucz node:test, który nie jest objęty ochroną DANGEROUS_BUILTINS vm2, a ponieważ requireImpl() usuwa tylko jeden prefiks 'node:', kod sandboxa wywołujący require('node:node:test') otrzymuje proxy do modułu hosta, a wywołania node:test.run() z atakującym kontrolowanym execArgv (np. --eval) wykonują dowolny kod JavaScript w nieograniczonym procesie hosta.

vm2 w wersjach przed 3.11.7 ujawnia współdzieloną pulę buforów Node (Buffer pool) kodowi w sandboxie, umożliwiając ujawnienie pamięci hosta używanej przez Buffer.from, Buffer.concat i powiązane alokacje. Kod w sandboxie może czytać i zapisywać bufory hosta, uzyskując ArrayBuffers z małych alokacji, co prowadzi do ujawnienia wrażliwych danych i potencjalnej odmowy usługi.